Zelf doen?

Met logische schade bedoel ik schade aan logische structuren zoals het bestandssysteem of partitie tabel. De logische structuur begint in de eerst sector van een drive, welke verwijst naar een bestandssysteem. De eerste sector daarvan verwijst vervolgens verder naar meta data en uiteindelijk naar individuele bestanden. De gegevens binnen bestanden zijn te herleiden naar blokken data, clusters genaamd. 

Wanneer deze keten onderbroken wordt, dan zal afhankelijk van waar dat gebeurt een deel van of al je data 'verdwijnen'. Als er in de eerste sector van de drive iets misgaat heeft dat gevolgen voor alle data, als je een bestand wist, zijn gevolgen beperkt tot dat ene bestand. Dus hoe vroeger in de keten iets mis gaat, des te meer data in een keer verdwijnt.

Bij het formatteren van de USB Stick 'reset' je als het ware de structuren uit de vorige paragraaf. M.a.w. verwijzingen naar bestaande data worden op nul gezet en als gevolg zullen je bestanden verdwijnen. Bestanden zijn vaak nog te redden omdat slechts verwijzingen worden verwijderd, en eigenlijk slechts een klein deel ervan.

Je kunt zelf proberen de bestanden te redden, de risico's die hieraan verbinden zijn, zijn laag.

Bij het wissen van een bestand wordt eigenlijk slechts de verwijzing naar een bestand gemarkeerd. Dit hangt wel af van het type bestandssysteem, maar ik beperk me hier tot Microsoft bestandssystemen zoals FAT en NTFS. In geval van FAT gebaseerde bestandssystemen kunnen in elk geval bestanden die niet overschreven werden en in een blok op de data drager staan worden gered. Bij NTFS is zelfs een gefragmenteerd bestand geen probleem.

Je moet dergelijke bestanden wel zo snel mogelijk redden! Zowel de entry in het bestandssysteem als de clusters waarin de data wordt bewaard kunnen ieder moment worden overschreven na het wissen!

Een RAW bestandssysteem betekent dat het bestandssysteem niet kan worden vastgesteld. Dat is een beetje nietszeggende melding die van alles kan betekenen echter. Het kan een volkomen legitiem systeem zijn waar Windows simpelweg niet mee overweg kan. Je kunt de melding krijgen als er slechts een sector corrupt is, maar ook als de schade veel uitgebreider is. Het kan puur logische schade zijn, maar er kan ook een onderliggende fysieke oorzaak zijn. Al met al een melding om mee op te passen! Maar als de data niet al te veel waard is kun je middels software proberen je bestanden te redden.

Er staat heel veel dom advies op internet. Schadelijke adviezen vooral, die je uitnodigen allerlei potentieel destructive procedures uit te voeren om data te herstellen. In het algemeen wil je niets doen dat naar de USB Stick schrijft! Dat is dus onder andere chkdsk uitvoeren (niet doen!), DiskPart gebruiken (niet doen!), partitie wissen en opnieuw aanmaken in Disk Management (niet doen!) en tools als TestDisk of SpinRite gebruiken (ook niet doen!). Kans met dit soort oplossingen dat het fout gaat is groot, en de kans om erna nog data terug te halen wordt alleen maar kleiner.

En ja, ik de de voorbeelden waar chkdsk per ongeluk de bestanden terug toverde maar dit zijn incidenten.

Ik snap dat iedereen zoiets het liefst doet met gratis tools zoals bijvoorbeeld Recuva. Ik zou zeggen probeer het uit, het kan relatief weinig kwaad. Maar maak niet de fout te denken dat als Recuva het niet kan, dat het dan helemaal niet kan, ik heb zo vaak het tegenovergestelde meegemaakt.

Ik raad een tool aan die ook in data recovery labs gebruikt wordt voor logische data recovery (de pro variant), R-Studio van de firma R-Tools Technology.